zkLink يتعرض مجددًا لتحليل SlowMist
يُرجّح أن الحادثة وقعت في 29 أكتوبر
وبلغت الخسائر نحو 783 ألف دولار
12 عملية سحب
واحدة من ETH و11 من ERC-20
الأسلوب لم يكن معقدًا
بدأوا بإرسال رسالة حقيقية عبر السلاسل
وكتبوا قيمة التحقق في التخزين المؤقت
ثم أعادوا استخدام القيمة المتبقية في استدعاء لاحق ضمن المعاملة نفسها
زوّروا جذر الدفعة
ثم سحبوا العملات من عقد الحفظ على L1
المشكلة في التحقق
لم تُمسح قيمة التحقق، ولم تُربط بإحكام بالاستدعاء الحالي
وتحديث جذر الدفعة لا يتحقق إلا من هوية البوابة
ولا يوجد إثبات مستقل
الحوادث التي تطال الجسور العابرة للسلاسل ليست قليلة مؤخرًا
التفويض وDNS والتخزين المؤقت
كل طبقة منها قد تتسبب في كارثة
أما الأصول المودعة في الجسر
فلا تفترضوا أن «العقد الرسمي آمن»
$ETH $BNB
#zkLink #慢雾 #أمن_الجسور_عبر_السلاسل
يُرجّح أن الحادثة وقعت في 29 أكتوبر
وبلغت الخسائر نحو 783 ألف دولار
12 عملية سحب
واحدة من ETH و11 من ERC-20
الأسلوب لم يكن معقدًا
بدأوا بإرسال رسالة حقيقية عبر السلاسل
وكتبوا قيمة التحقق في التخزين المؤقت
ثم أعادوا استخدام القيمة المتبقية في استدعاء لاحق ضمن المعاملة نفسها
زوّروا جذر الدفعة
ثم سحبوا العملات من عقد الحفظ على L1
المشكلة في التحقق
لم تُمسح قيمة التحقق، ولم تُربط بإحكام بالاستدعاء الحالي
وتحديث جذر الدفعة لا يتحقق إلا من هوية البوابة
ولا يوجد إثبات مستقل
الحوادث التي تطال الجسور العابرة للسلاسل ليست قليلة مؤخرًا
التفويض وDNS والتخزين المؤقت
كل طبقة منها قد تتسبب في كارثة
أما الأصول المودعة في الجسر
فلا تفترضوا أن «العقد الرسمي آمن»
$ETH $BNB
#zkLink #慢雾 #أمن_الجسور_عبر_السلاسل